Una norma ISO, las leyes de cada país
El sistema de gestión es internacional y se implanta una vez. La ley cambia en cada frontera, y con ella lo que está en juego si falla. Aquí está el mapa: siete normas y las leyes que cada una ayuda a cumplir.
ISO 37301:2021 es la norma internacional certificable para sistemas de gestión de compliance. Define cómo identificar obligaciones, evaluar riesgos, establecer controles, medir el desempeño y mejorar. Es el marco que permite a un grupo multinacional responder con un solo sistema ante leyes distintas en cada país donde opera.
ISO 37001:2016 especifica los requisitos de un sistema de gestión antisoborno: política, función de cumplimiento, evaluación del riesgo de soborno, diligencia debida sobre terceros y socios, controles financieros y comerciales, canal de denuncia, investigación y revisión por la dirección. Es certificable por tercera parte.
ISO 45001:2018 especifica los requisitos de un sistema de gestión de seguridad y salud en el trabajo: identificación de peligros, evaluación de riesgos, participación de los trabajadores, control operacional, preparación ante emergencias e investigación de incidentes. Sustituye a OHSAS 18001 y es certificable.
La cláusula 8.4 de ISO 9001:2015 exige controlar los procesos, productos y servicios suministrados externamente: definir criterios de evaluación, selección, seguimiento del desempeño y reevaluación de los proveedores, y conservar la información documentada de esas actividades. Es la base normativa de cualquier homologación de proveedores.
ISO/IEC 42001:2023 es la primera norma internacional certificable para sistemas de gestión de inteligencia artificial. Exige inventariar los sistemas de IA, evaluar su impacto sobre las personas, definir responsabilidades, supervisar el uso y mejorar de forma continua. Es el marco de gestión que ordena el cumplimiento del AI Act europeo.
ISO/IEC 27001:2022 especifica el sistema de gestión de seguridad de la información: análisis de riesgos, declaración de aplicabilidad sobre los 93 controles del Anexo A, gestión de incidentes, continuidad y mejora continua. Es el marco con el que se acreditan las medidas que exigen el RGPD y la Directiva NIS2.
ISO 14001:2015 especifica el sistema de gestión ambiental: identificar aspectos e impactos, determinar los requisitos legales aplicables, planificar acciones, controlar la operación y evaluar periódicamente el cumplimiento legal. Es certificable y su cláusula 9.1.2 es la que obliga a demostrar que se cumple la ley, no solo a decirlo.
El mapa completo
Cada fila es una ley; cada ley se apoya en la norma ISO de su columna. Un grupo que ya está certificado tiene medio camino hecho en todos los países donde opera.
| País | Ley | Se implanta con |
|---|---|---|
| 🇪🇺Unión Europea | Directiva (UE) 2019/1937 y Ley 2/2023 | ISO 37301 |
| 🇪🇺Unión Europea | Directiva (UE) 2022/2555 (NIS2) | ISO 27001 |
| 🇪🇺Unión Europea | Directiva (UE) 2024/1760 (CSDDD) | ISO 9001 |
| 🇪🇺Unión Europea | Reglamento (UE) 2023/1115 (EUDR) | ISO 9001 |
| 🇪🇺Unión Europea | Reglamento (UE) 2024/1689 (AI Act) | ISO 42001 |
| 🇪🇺Unión Europea | Reglamento (UE) 2025/40 (PPWR) | ISO 9001ISO 14001 |
| 🇪🇺Unión Europea | RGPD, art. 22 y 35 | ISO 42001 |
| 🇪🇺Unión Europea | RGPD, art. 32 | ISO 27001 |
| 🇧🇷Brasil | Decreto 11.129/2022 | ISO 9001 |
| 🇧🇷Brasil | Lei 12.305/2010 (PNRS) | ISO 14001 |
| 🇧🇷Brasil | Lei 12.846/2013 y Decreto 11.129/2022 | ISO 37301ISO 37001 |
| 🇧🇷Brasil | LGPD (Lei 13.709/2018) | ISO 42001ISO 27001 |
| 🇧🇷Brasil | Normas Regulamentadoras (NR-1 y siguientes) | ISO 45001 |
| 🇨🇱Chile | Ley 16.744 y D.S. 40 | ISO 45001 |
| 🇨🇱Chile | Ley 19.300 y Ley 20.920 | ISO 14001 |
| 🇨🇱Chile | Ley 20.393 | ISO 9001 |
| 🇨🇱Chile | Ley 20.393 (Ley 21.595) | ISO 37001 |
| 🇨🇱Chile | Ley 20.393, reformada por la Ley 21.595 | ISO 37301 |
| 🇨🇱Chile | Ley 21.663 (Marco de Ciberseguridad) | ISO 27001 |
| 🇨🇱Chile | Ley 21.719 | ISO 42001 |
| 🇨🇴Colombia | Decreto 1072 y Resolución 0312 de 2019 | ISO 45001 |
| 🇨🇴Colombia | Decreto 1076 de 2015 | ISO 14001 |
| 🇨🇴Colombia | Ley 2195 de 2022 | ISO 37301 |
| 🇨🇴Colombia | Ley 2195 de 2022 y Ley 1778 de 2016 | ISO 37001 |
| 🇪🇸España | Código Penal, art. 286 bis y 424-427 | ISO 37001 |
| 🇪🇸España | Código Penal, art. 31 bis | ISO 37301 |
| 🇪🇸España | Ley 31/1995 y RD 39/1997 | ISO 45001 |
| 🇪🇸España | Ley 7/2022 de residuos y Ley 21/2013 | ISO 14001 |
| 🇪🇸España | Ley 9/2017 (LCSP), art. 71 | ISO 9001 |
| 🇵🇪Perú | Ley 28611 y D.S. 014-2017-MINAM | ISO 14001 |
| 🇵🇪Perú | Ley 29783 y D.S. 005-2012-TR | ISO 45001 |
| 🇵🇪Perú | Ley 30424 | ISO 37001 |
| 🇵🇪Perú | Ley 30424 y D.S. 002-2019-JUS | ISO 37301 |
Certificarse no cumple la ley: la certificación acredita un sistema de gestión, y la autoridad valora la evidencia de que funcionaba antes del hecho. Lo que ahorra la norma es tener un sistema distinto en cada país.